Bypass de Impersonação na Web UI do Flux Operator via Claims OIDC Vazias em github.com/controlplaneio-fluxcd/flux-operator

A exploração bem-sucedida do CVE-2026-23990 pode resultar em acesso não autorizado a recursos críticos dentro do cluster Kubernetes gerenciado pelo Flux Operator. Um atacante pode, por exemplo, modificar configurações de GitOps, implantar aplicações maliciosas ou obter acesso a segredos armazenados. O impacto potencial é significativo, pois a impersonação permite a escalada de privilégios e a tomada de controle do ambiente. A ausência de validação adequada dos claims OIDC abre uma brecha para que um atacante injete informações falsas, enganando o sistema e obtendo acesso indevido. A vulnerabilidade se assemelha a outros casos de falhas de autenticação e autorização em sistemas de gerenciamento de configuração.

Organizations utilizing Flux Operator for GitOps deployments, particularly those relying on OIDC for authentication, are at risk. Shared Kubernetes clusters where multiple teams or applications share resources are especially vulnerable, as a compromised account could potentially impact a wider range of deployments. Legacy Flux Operator configurations with relaxed OIDC claim validation are also at increased risk.

• linux / server: Examine auditd logs for authentication attempts using OIDC tokens. Look for patterns indicating empty claims being accepted.

auditctl -l | grep -i oidc

• go / platform: Monitor Flux Operator logs for errors related to OIDC claim validation.

// Example: Check for empty claims in your OIDC validation logic
if claims.Subject == "" || claims.Groups == nil { // Add more checks as needed
  return nil, errors.New("Invalid OIDC claims")
}

• generic web: If Flux Operator exposes a management API, test authentication with a crafted OIDC token containing empty claims to verify the impersonation bypass is prevented after patching.

1. 2026-02-02Disclosure

   disclosure

1. Reservado2026-01-19
2. Publicada2026-02-02
3. Modificada2026-02-04
4. EPSS atualizado2026-03-23

A mitigação primária para o CVE-2026-23990 é a atualização para a versão 0.40.0 do Flux Operator, que inclui a correção para essa vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao painel de controle do Flux Operator e fortalecer as políticas de autenticação OIDC. Implementar regras de firewall para limitar o acesso à interface web do Flux Operator a endereços IP confiáveis também pode reduzir a superfície de ataque. Após a atualização, confirme a correção verificando os logs do Flux Operator para garantir que as requisições OIDC estejam sendo validadas corretamente.